本文列出了使用 Microsoft Entra Cloud Sync 将用户和组从Microsoft Entra ID预配到本地Active Directory 域服务（AD DS）的先决条件和许可证要求。在配置预配之前完成这些项目。
许可要求
预配到Active Directory使用基于配置的许可模型。
| Configuration | 需要许可证 |
|---|---|
| 现有配置 （在正式发布之前创建） | 无需更改许可证。 这些配置将继续在其现有Microsoft Entra ID P1 许可下运行。 |
| 每个租户的前 2 个新增配置 | Microsoft Entra ID P1。 |
| 每个租户有超过 2 个新配置（3–20） | Microsoft Entra ID 治理。 |
注释
每个租户最多可以配置 20 个配置（域）。 若要查找适合你的要求的许可证，请参阅 Microsoft Entra ID 的通用可用功能比较。
一般要求
- 至少具有Hybrid Identity Administrator 角色的 Microsoft Entra 帐户。
- 具有 msDS-ExternalDirectoryObjectId 属性的本地 AD DS 架构，该属性在 Windows Server 2016 及更高版本中可用。
- 内部版本号为 1.1.2334.0 或更高版本的预配代理。
注释
仅在干净安装期间分配对服务帐户的权限。 如果要从以前的版本升级，则需要使用 PowerShell 手动分配权限：
$credential = Get-Credential
Set-AADCloudSyncPermissions -PermissionType UserGroupCreateDelete -TargetDomain "FQDN of domain" -EACredential $credential
如果手动设置权限，请分配所有子代组和用户对象的“读取”、“写入”、“创建”和“删除”所有属性。 默认情况下，这些权限不会应用于 AdminSDHolder 对象。 有关详细信息，请参阅Microsoft Entra 预配代理 gMSA PowerShell 命令行脚本。
预配代理和同步客户端也有其自己的要求：
- 在已加入域的服务器上安装预配代理。 建议Windows Server 2025 或 Windows Server 2022。 可以使用扩展支持中的较旧Windows Server版本，但对此配置的支持可能需要付费支持计划。
- 预配代理必须能够与端口 TCP/389 （LDAP） 和 TCP/3268（全局编录）上的一个或多个域控制器通信。
- 必须进行全局目录查找，以筛除无效的成员身份引用。
- 内部版本为 2.2.8.0 或更高版本的 Microsoft Entra Connect Sync。
- 支持使用 Microsoft Entra Connect Sync 同步的本地用户成员身份时需要此项。
- 必须将
AD DS:user:objectGUID同步到AAD DS:user:onPremisesObjectIdentifier。
用户预配先决条件（预览版）
如果将用户预配到 AD DS，请确保他们使用的应用程序支持 Kerberos。 对于云管理用户，不支持收集用户密码并执行 LDAP 绑定的应用程序，因为没有可提供的 AD DS 密码。
若要为云托管用户提供对本地 Kerberos 资源的无密码访问权限，请配置组织使用的无密码方法。 对于Windows Hello 企业版，请配置云 Kerberos 信任。 Microsoft Entra ID 颁发一个部分 TGT，客户端将其与本地域控制器交换，以获取完整的 AD TGT。
更多信息
预配到 AD DS 时，请考虑以下几点：
- 写入 AD DS 的组成员身份仅包括具有 AD DS 帐户的成员。 这些成员可以是本地同步用户、因属于用户预配范围而由 Cloud Sync 预配到 AD DS 的云管理用户，或其他在云中创建的安全组。 跳过没有 AD DS 帐户的云托管用户。
- 本地同步的用户必须在其帐户上设置 onPremisesObjectIdentifier 属性。
- onPremisesObjectIdentifier 必须与目标 AD DS 环境中的相应对象GUID 匹配。
- 可以使用任一同步客户端将本地用户 objectGUID 属性同步到云用户 onPremisesObjectIdentifier 属性。
- 只有全球范围的 Microsoft Entra ID 租户才能从 Microsoft Entra ID 向 AD DS 进行预配。 不支持 B2C 等租户。
- 预配作业按定期计划运行。
注释
Microsoft Entra Connect Sync 中的 Group Writeback v2 预览版已弃用，且不再受支持。 如果使用组写回 v2，请将同步客户端移动到Microsoft Entra云同步。如果将Microsoft 365组预配到 AD DS，则可以继续使用组写回 v1。